顧客や取引先に影響がある場合、早めに第一報を出し、調査の進展に合わせて続報で更新するのが基本です。第一報では確認できた事実と利用者に注意してほしいことを伝え、未確認のことは「調査中」とはっきり書きます。上場企業は、適時開示の対象になるかも判断が必要です。
第一報に書くこと
- 何が起きたか（不正アクセス、ランサムウェアなど）と発覚の日
- 影響を受けているサービス・業務
- 漏洩の可能性と、現時点でわかっている範囲
- 利用者へのお願い（偽メールへの注意など）
- 問い合わせ窓口と、続報の予定
避けたいこと
- 根拠なく「漏洩はない」と断定する（後で覆ると信用を失う）
- 攻撃者を利するような技術的な詳細（脆弱性が未修正の段階での詳細）
- 部署ごとに違う説明
公表が遅れる理由については漏洩の公表が遅れるのはなぜ？で解説しています。